Autenticació amb OpenID Connect

Configuració del proveïdor d’identitat

Si disposeu d’un proveïdor d’identitat extern compatible amb el protocol OpenID Connect, podeu configurar Cyberwatch perquè els usuaris s’hi puguin autenticar des d’aquest proveïdor, de manera que ja no cal crear comptes locals manualment des de la consola d’administració de Cyberwatch.

La configuració de Cyberwatch per a OpenID Connect es troba al menú Administració > Proveïdor d’identitat > OpenID Connect.

El primer pas de la configuració consisteix a crear al proveïdor d’identitat una aplicació OpenID Connect (o, més en general, OAuth) destinada a Cyberwatch. Normalment caldrà indicar en aquest moment l’URL de redirecció que es mostra a la pàgina de configuració de Cyberwatch. Cyberwatch utilitza exclusivament el mode d’autenticació OAuth authorization code.

Com que la gestió dels controls d’accés es delegarà al proveïdor d’identitat, es recomana limitar l’accés a l’aplicació al mínim d’usuaris possible.

Un cop declarada l’aplicació al proveïdor d’identitat, haureu de configurar a Cyberwatch l’URL de l’autoritat. Per exemple, per a Microsoft Entra ID té la forma https://login.microsoftonline.com/{tenant}/v2.0. A continuació, haureu d’introduir l’identificador de l’aplicació creada anteriorment com a identificador. El secret es pot deixar buit. Deseu la configuració.

Si l’operació té èxit, es generarà un certificat de client. Aquest certificat s’haurà de registrar al proveïdor d’identitat per permetre l’autenticació de l’aplicació Cyberwatch davant d’aquest proveïdor.

Finalment, per provar la configuració, podeu tancar la sessió de Cyberwatch o obrir una sessió privada per veure aparèixer a la pàgina d’inici de sessió de Cyberwatch un botó d’inici de sessió nou. Si hi feu clic, se us redirigirà al vostre proveïdor d’identitat i, després, de nou a Cyberwatch. Es crearà un compte de Cyberwatch nou.

Si la connexió acaba amb un error de Cyberwatch, consulteu els registres.

Sincronització dels atributs

Els testimonis d’autenticació d’OpenID Connect contenen un conjunt de claims configurables des del proveïdor d’identitat. Cyberwatch pot utilitzar aquestes dades per emplenar automàticament les dades dels comptes de Cyberwatch a cada inici de sessió.

Es recomana sincronitzar els atributs de nom i de correu electrònic. El nom dels atributs del testimoni pot variar d’un proveïdor a un altre, però name i email són valors habituals.

El rol dels comptes també es pot definir a partir d’un atribut del testimoni, cosa que permet, per exemple, assignar un rol segons el grup d’un usuari assignat pel proveïdor d’identitat. Si no, l’administrador ha d’ajustar els rols després que el compte en qüestió hagi iniciat la sessió per primera vegada.